FR 2704954 A1 19941110 FR 9305450 A 19930506 DISPOSITIF ET PROCEDE DE COMMANDE DE SECURITE A SORTIE ANALOGIQUE DE PUISSANCE L'invention concerne la commande de sécurité d'action- neurs à entrée analogique et elle trouve une application particulièrement importante, bien que non exclusive dans le domaine du transport et dans celui des industries o la venue intempestive d'un organe dans un état déterminé peut avoir des conséquences graves. Le dispositif et le procédé sont destinés à être incorporés à des systèmes utilisant des processus numériques pour remplir les fonctions de sécurité et dans lesquels apparaît au moins un code de commande ou de validation, dont l'absence doit entraîner à coup sûr la mise du système dans un état sécuritaire. Fréquemment, le besoin se fait sentir d'un dispositif de commande de sécurité permettant de convertir un code d'entrée en un signal analogique de puissance, qui doit être présent si le code est exact et qui doit être à coup sûr absent si le code est erroné ou manquant. On a déjà proposé un dispositif de commande de sécurité à entrée numérique et à sortie analogique de puissance comprenant un circuit logique d'entrée fournissant un signal analogique permanent aussi longtemps qu'un code numérique d'entrée est exact et un amplificateur analogique de sortie, destiné à porter le signal analogique au niveau nécessaire pour les interfaces d'entrée des actionneurs. Le circuit logique constitue un OU EXCLUSIF fonctionnant en sécurité intrinsèque et recevant sur ses deux entrées des séquences permanentes de bits qui sont en opposition de phase aussi longtemps qu'aucune erreur n'a été détectée en amont. Lorsque les séquences sont en opposition de phase, le circuit délivre un signal analogique permanent. Si l'opposi- tion de phase est perdue, même sur un seul bit, le signal de validation tombe à l'état bas et le circuit logique est prévu pour qu'il reste dans cet état jusqu'à réamorçage, soit automatiquement après un délai déterminé, soit par un signal extérieur de réarmement. Le dispositif connu comporte des inconvénients. L'ampli- ficateur de sortie doit fonctionner en sécurité intrinsèque, c'est-à- dire être incapable de fournir une puissance suffisante pour commander un actionneur, aussi longtemps que le circuit OU EXCLUSIF ne lui fournit pas de signal de validation. Par ailleurs, la cadence de contrôle de sécurité est relativement lente lorsque le code d'entrée comprend plusieurs dizaines de bits, ce qui est fréquent. Il se peut que seul le dernier bit soit erroné, ce qui retarde le passage en état sécuritaire. Et la réalisation du circuit logique en sécurité intrinsèque oblige à limiter la fré- quence d'horloge à 500 bits par seconde environ. La présente invention vise notamment à fournir un dispositif de commande de sécurité répondant mieux que ceux antérieurement connus aux exigences de la pratique, notam- ment en ce qu'il permet de délivrer une puissance élevée sans avoir recours à des amplificateurs de sécurité placés en aval. L'invention vise également à autoriser des cadences de séquences de commande élevées, moyennant une constitution particulière du dispositif, L'invention propose notamment un dispositif de commande de sécurité, ou contrôleur, à entrée numérique et à sortie analogique destiné à fournir une puissance moyenne de sortie supérieure à un seuil déterminé lorsque deux séquences binaires d'entrée complémentaires ou en opposition de phase sont appliquées à l'entrée et une puissance de sortie inférieure à un autre seuil (typiquement plus de cinq fois plus bas que le précédent) dans tous les autres cas, caractérisé en ce qu'il comprend une source primaire de tension continue alimentant une cascade de plusieurs modules ayant chacun un pont onduleur d'un module et un redresseur, chaque branche du pont onduleur étant commandée par une des séquences. L'équipement fournissant les séquences numériques d'entrée (généralement un contrôleur numérique) est généra- lement prévu pour fournir par module, comme code correct, deux séquences numériques d'entrée complémentaires, consti- tuées de p bits et répétées régulièrement, et pour décorré- ler totalement les deux séquences pour former un code incorrect. En l'absence d'erreur, les deux séquences de commande d'un même onduleur sont en opposition de phase. En consé- quence, le module fournit, sur sa sortie, la puissance présentée sur son entrée, au rendement près (en général supérieur à 90%).Le module peut cependant être prévu pour que la tension de sortie soit égale à la tension d'entrée. Si en revanche une erreur est détectée, les séquences présentées au dispositif par le contrôleur numérique devien- nent incohérentes. Il y a en conséquence une chance sur deux pour que chaque bit de la séquence de commande d'une branche ou demi-pont soit en phase avec le bit correspondant appliqué à l'autre demi-pont. Chaque onduleur recopie donc sur sa sortie la tension présente sur son entrée pendant seulement la moitié du temps en moyenne et fournit une tension nulle pendant seulement l'autre moitié du temps. Le redressement réalisé par le redresseur fait que la puissance de sortie est légèrement inférieure à la moitié de la puissance d'entrée. Si k modules recevant des paires de séquence indépendantes sont placés en cascade et que le premier est alimenté par une source de tension continue Ve, la tension moyenne de sortie Vs est égale à 2-k.Ve en cas d'erreur. Si les séquences de commande sont absentes, la tension de sortie s'annule. Comme on le verra plus loin, il est possible de réduire encore la tension moyenne de sortie en cas d'erreur, en commandant les interrupteurs placés dans les demi-ponts par des boucles de réaction. L'invention vise également à fournir un procédé de commande de sécurité susceptible d'être mis en oeuvre à l'aide d'un dispositif du genre décrit ci-dessus. L'inven- tion propose pour cela un procédé de commande de sécurité d'actionneur analogique à partir d'un signal numérique de validation constitué de deux séquences binaires qui sont complémentaires pour représenter un code correct et incohé- rentes ou décorrélées dans les autres cas, suivant lequel on soumet une tension électrique continue de puissance d'entrée à une cascade de transformation en tension alterna- tive et de redressement, chaque transformation s'effectuant à l'aide d'un pont dont les branches comportent chacune deux interrupteurs commandés par la même séquence. L'invention sera mieux comprise à la lecture de la description qui suit de modes particuliers d'exécution, donnés à titre d'exemples non-limitatifs. La description se réfère aux dessins qui l'accompagnent, dans lesquels: - la figure 1 est un schéma de principe d'un dispositif de commande de sécurité suivant un premier mode de réalisa- tion; - la figure 2 est un synoptique montrant une constitution possible d'un des modules du dispositif de la figure 1; - la figure 3 est un synoptique montrant une constitution possible d'un contrôleur fournissant au dispositif des séquences de commande; - la figure 4, similaire à la figure 1, montre une variante de réalisation permettant de réduire le nombre de modules de la cascade; et - la figure 5 est un schéma électrique montrant une constitution possible d'un étage utilisable dans le disposi- tif de la figure 1. Le dispositif de commande 10 schématisé en figure 1 est prévu pour recevoir, d'un équipement amont, k codes d'entrée constitués chacun de deux séquences binaires Sl et S2 appliquées en parallèle et qui sont complémentaires lorsque le code est correct. Ces séquences sont par exemple élabo- rées par un équipement amont comprenant un microcalculateur 12 fournissant une signature à contrôler (séquence de p bits répétée plusieurs fois par seconde) et un contrôleur numérique 14 dont une constitution possible sera donnée plus loin. Chaque paire de séquences SI et S2 est différente des autres, au moins en cas d'erreur. Dans chaque paire, les séquences sont complémentaires lorsque le code est correct, décorrélées lorsque le code est erroné. Le dispositif 10 est constitué d'une cascade de modules identiques 161, 162,.... 16k. Le premier module 16, reçoit une tension d'entrée continue Ve provenant d'une source primaire de tension 18, capable de fournir la puissance d'alimentation d'un actionneur. Souvent la tension Ve sera d'environ 100 Volts. Le dernier module 16k fournit une tension de sortie Vs à un interface d'actionneur 20 ou plusieurs. Une source auxiliaire de tension 22 fournit la faible puissance nécessaire au fonctionnement des modules. Chacun des modules 16,....., 16k peut avoir la constitu- tion de principe du module 16t montré en figure 2. Il comprend alors un pont onduleur dont chaque branche comporte deux interrupteurs, qui seront généralement des transistors MOS. La diagonale du pont contient le primaire 24 d'un transformateur dont le secondaire 26 attaque un redresseur 28 fournissant la tension de sortie du module, Vs1 par exemple. Les interrupteurs de l'onduleur sont commandés par un amplificateur à basse puissance 30, alimenté par la source auxiliaire 22; cet amplificateur porte les séquences numériques S1 et S2 au niveau nécessaire pour commander les interrupteurs et effectue également une mise en forme. Chaque séquence amplifiée est appliquée directement à l'un des interrupteurs d'une branche et, par l'intermédiaire d'un inverseur 32 à l'autre interrupteur de la même branche. En l'absence d'erreur (état "permissif" du dispositif), les deux séquences de commande d'un même onduleur sont en opposition de phase. La tension Vs1 est égale à la tension d'entrée Ve et la puissance est conservée, au rendement a près. Il en est de même pour les modules suivants. La tension de sortie moyenne Vs est alors égale à Ve. Si en revanche les séquences SI1 et S2 sont aléatoires (état -k "restrictif"), la tension de sortie Vs devient 2 k.Ve. Si on estime que la tension moyenne de sortie doit être divisée par un facteur 30 en présence d'erreur, il suffit de cinq modules en cascade. Avec un rendement individuel de 93%, on dispose encore en sortie de 70% de la puissance d'entrée lorsque les séquences sont en opposition de phase. Dans certains cas, un filtrage peut être utile. Le contrôleur 14 peut avoir n'importe laquelle des nombreuses constitutions bien connues. La figure 3 montre un mode particulier de réalisation non exclusif. La séquence S1 est stockée dans une mémoire morte 38. Elle est fournie, à la cadence d'une horloge locale 36, par application, sur l'entrée d'adresse de la mémoire 38, du contenu d'un compteur 40 incrémenté par l'horloge. La séquence S2 est fournie par un générateur pseudo- aléatoire constitué d'un registre à décalage 42 rebouclé par l'intermédiaire d'une cascade de portes OU EXCLUSIF 44. Le registre 42 est prévu pour être chargé en parallèle par le microcalculateur 12 et la cadence d'avance dans le registre est fixée par l'horloge 36. Le contenu de la mémoire morte 38 est déterminé en fonction de la signature appliquée sur l'entrée parallèle 46 du registre et de la chaîne d'addi- tionneurs de façon que les séquences S1 et S2 soient complémentaires lorsque la signature est correcte. Si en revanche la signature, constituée par exemple par une séquence de 32 bits, comporte au moins un bit incorrect, la séquence S2 perd toute cohérence avec la séquence S1 et cela presque instantanément. L'amplificateur à basse puissance peut lui-même avoir n'importe laquelle des constitutions bien connues. Dans le mode de réalisation montré en figure 2, la cadence des séquences de commande est limitée par le temps de commutation des interrupteurs. Dans certains cas il est nécessaire de s'affranchir de cette limitation, afin de diminuer la largeur des impulsions de tension présentes sur la sortie de chaque module. Pour cela on peut générer chacune des séquences de commande Si et S2 en réalisant l'opération OU EXCLUSIF ou XOR sur deux séquences primaires, ayant une cadence plus élevée, pouvant atteindre 1 Mbit par seconde au lieu de 50 kbits par seconde. Un tel montage sera décrit plus loin en faisant référence à la figure 5 o les séquences primaires sont désignées par Sll et S12 pour Si, par S21 et S22 pour S2. Le mode de réalisation montré en figure 2 oblige à prévoir un nombre d'étages élevé pour obtenir une réduction de puissance importante en mode restrictif, puisque l'atté- nuation de chaque étage est de 50% seulement. Pour diminuer le nombre d'étages, donc simplifier le système et améliorer son rendement énergétique en mode normal ou permissif, il est possible d'utiliser un montage bouclé provoquant un phénomène d'auto-verrouillage. La figure 4, sur laquelle les éléments correspondant à ceux de la figure 2 portent le même numéro de référence, montre un tel dispositif. Il comporte seulement trois modules 161, 162 et 163 (ce nombre n'étant pas limitatif) qui normalement ne donneraient qu'un rapport de réduction de 8. Mais la puissance nécessaire pour mettre les interrupteurs des onduleurs de ces modules dans l'état conducteur n'est plus fournie par une source auxiliaire fournissant une tension fixe, mais par un convertisseur auxiliaire de tension 48 pouvant avoir une constitution générale similaire à celle des modules 16, recevant égale- ment les séquences SI et S2. Pour que le dispositif puisse démarrer, il comprend un circuit d'amorçage 50 recevant une impulsion de commande du contrôleur 14 et fournissant une impulsion de démarrage au convertisseur auxiliaire 48. Le convertisseur auxiliaire est de plus auto-alimenté à partir de sa sortie 51 qui fournit l'énergie nécessaire pour faire passer les interrupteurs des modules dans l'état conducteur, sous l'action de séquences complémentaires Si et S2. Il suffit en général que le convertisseur auxiliaire 48 puisse fournir quelques Watts. On a constaté que trois étages suffisent pour obtenir une réduction de la tension de sortie dans un rapport de l'ordre de 300 lorsque les interrupteurs sont constitués par des transistors MOS ayant une consommation non négligeable. La chute de la tension de commande des transistors provoquée par la réduction de Vs lorsque les séquences sont décorré- lées retarde à son tour chaque passage des transistors dans l'état conducteur, ce qui fait encore chuter la tension Vs. Quel que soit le mode de réalisation adopté, le disposi- tif permet de fournir une puissance élevée, suffisante pour actionner des actionneurs sans interposition d'amplifica- teurs de sécurité analogiques. I1 admet au surplus des variations importantes de sa charge de sortie sans dégrader la sécurité. Les modules seront constitués en composants différents suivant l'application envisagée. La figure 5 montre une constitution possible, utilisant des transistors de commuta- tion MOS comme interrupteurs. Une seule des branches 52 et 54 du pont est complètement représentée. La puissance de mise des interrupteurs dans l'état conducteur est fourni par un amplificateur qui est alimenté sous une tension Vc soit à partir d'une source auxiliaire (cas de la figure 2), soit à partir d'un convertisseur auxiliaire (cas de la figure 4). L'amplificateur attaque, par l'intermédiaire d'un transformateur 56, un circuit qui, tel qu'il est représenté, réalise le OU EXCLUSIF de séquen- ces primaires et met en forme les séquences SI et S2 résultantes. Le circuit peut être constitué par deux amplificateurs tampons associés à des diodes qui ont plusieurs fonctions. Dans la branche représentée en haut de la figure 5, les diodes D2 et D3 remplissent la fonction OU EXCLUSIF; la diode Dl fournit la tension positive d'alimentation de l'amplificateur 58; D4 et D5 fournissent l'alimentation négative par rapport au point milieu, mis à la masse. Les amplificateurs attaquent les interrupteurs, constitués par des transistors MOS de puissance respectifs 60 dont les émetteurs sont à la masse. Le primaire 24 de sortie vers le circuit redresseur est monté entre les points milieu des deux branches. Du fait que le dispositif de la figure 5 réalise un OU EXCLUSIF entre les séquences primaires d'entrée Sll et S12 d'une part, S21 et S22 d'autre part, il permet la commande à partir de séquences à cadence très élevée, pouvant aller jusqu'à 1 Mbits par seconde. Pour faire fonctionne le dispositif suivant le schéma de principe montré en figures 1 et 2, il suffit de mettre à la masse l'une des entrées Sll et S12 (ainsi qu'une des entrées S21 et S22) et d'appliquer les séquences S1 et S2 à cadence réduite sur les entrées restantes. REVENDICATIONS 1. Dispositif de commande de sécurité à entrée numérique et à sortie analogique de puissance, destiné à fournir une puissance moyenne de sortie supérieure à un seuil déterminé lorsque deux séquences binaires d'entrée complémentaires ou en opposition de phase sont appliquées à l'entrée et une puissance de sortie inférieure à un autre seuil dans tous les autres cas, caractérisé en ce qu'il comprend une source primaire de tension continue (18) alimentant une cascade de plusieurs modules (161,.., 16k) ayant chacun un pont onduleur et un redresseur (28), chaque branche du pont onduleur d'un module étant commandée par une des séquences. 2. Dispositif selon la revendication 1, caractérisé en ce que les dites séquences sont fournies par un contrôleur numérique (14) prévu pour répéter régulièrement les deux séquences et les décorréler totalement en cas d'incident. 3. Dispositif selon la revendication 2, caractérisé en ce que les séquences sont constituées d'un nombre prédéter- miné de bits. 4. Dispositif selon la revendication 3, caractérisé en ce que l'une des séquences est mémorisée et l'autre séquence est générée à partir d'une signature, tout écart de la signature par rapport à une valeur déterminée provoquant la dite décorrélation. 5. Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que chacune des séquences (Sl, S2) est générée en réalisant l'opération OU EXCLUSIF sur deux séquences primaires à cadence plus élevée. 6. Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que le pont onduleur de chacun des modules comporte des interrupteurs dont la mise dans l'état conducteur consomme de l'énergie et en ce que le dispositif comprend un convertisseur auxiliaire (48) d'ali- mentation des interrupteurs, alimenté à partir de la sortie du dispositif. 7. Procédé de commande de sécurité d'actionneur analogi- que à partir d'un signal numérique de validation constitué de deux séquences binaires qui sont complémentaires pour représenter un code correct et incohérentes ou décorrélees dans les autres cas, caractérisé en ce qu'on soumet une tension électrique continue de puissance d'entrée (Ve) à une cascade de transformation en tension alternative et de redressement, chaque transformation s'effectuant à l'aide d'un pont dont les branches comportent chacune deux inter- rupteurs commandés par la même séquence qui est appliquée directement à l'un des interrupteurs et inversée avant d'être appliquée à l'autre interrupteur.